PHP выпустит срочные патчи безопасности для двух критических уязвимостей

Image: Ars Technica · Source

Поддерживающие PHP планируют выпустить экстренные патчи для двух уязвимостей с высокой степенью серьезности, оцененных в 9,2, устраняющих эксплойт под названием PHP2Shell, позволяющий удалённое выполнение кода на множестве платформ на базе PHP.

PHP, широко используемый открытый скриптовый язык, поддерживающий множество веб-сайтов и приложений, готовится выпустить экстренные патчи безопасности для двух критических уязвимостей. Уязвимости, обозначенные как CVE-2026-109618 и CVE-2026-109619, получили оценку серьезности 9,2 из 10 от поддерживающих PHP. Выпуск патчей ожидается в ближайшее время, с предупреждениями, что раскрытие деталей или доказательств активного использования может ускорить выпуск.

Появился непроверенный отчёт вместе с демонстрационным видео инструмента эксплойта под названием PHP2Shell, который, как сообщается, позволяет удалённое выполнение кода на веб-серверах с разными системами управления контентом и приложениями на базе PHP. Среди них популярные платформы: WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel версии 8.83.29 и 13.36.0, Symphony 8.1.9, Drupal 11.4.10 и WHMCS 9.0.9.

Компания по безопасности watchTowr отметила, что эти уязвимости затрагивают все версии PHP начиная с PHP 5, выпущенного в 2004 году, и независимо подтвердила их подлинность. Несколько компаний по безопасности, включая Sansec, Webfence и Huntress, выпустили предупреждения, при этом Sansec прогнозирует массовые попытки эксплуатации вскоре после публикации патчей.

Администраторам рекомендуется подготовиться проактивно: определить ответственных за сопровождение PHP, провести инвентаризацию приложений на базе PHP, запланировать окно обслуживания — рекомендуется начать в 14:00 UTC, но возможно и раньше — и обеспечить полное резервное копирование сайтов и баз данных. Эксперты также советуют внимательно следить за официальным сайтом PHP.net для обновлений или ускоренного выпуска патчей.

Поскольку PHP является неотъемлемой частью миллионов веб-сайтов и внутренних инструментов по всему миру — оценивается, что около 1,3 миллиона интернет-хостов потенциально уязвимы — влияние этих уязвимостей может быть масштабным. Организациям рекомендуется рассмотреть возможность временного отключения несущественных систем до применения патчей. Остаётся важным сохранять бдительность, так как патчи могут быть опубликованы в любой момент, чтобы снизить активные угрозы.